Parecer n.º 74/2023

PAR/2023/44 1 PARECER/2023/74 I. Pedido 1. A Secretária de Estado da Administração Interna solicitou parecer à Comissão Nacional de Proteção de Dados (CNPD) sobre o pedido de autorização do sistema de videovigilância no Município de Portimão, submetido pela Polícia de Segurança Pública (PSP). 2. O referido pedido foi apresentado em 02 de maio de 2023, nos termos do n.º 3 do artigo 5.º da Lei n.º 95/2021, de 29 de dezembro (doravante Lei n.º 95/2021), que regula a utilização e o acesso pelas forças e serviços de segurança e pela Autoridade Nacional de Emergência e Proteção Civil a sistemas de videovigilância para captação, gravação e tratamento de imagem e som. 3. Tal pedido tem origem numa pretensão formulada pela PSP, com o propósito de ampliar o sistema de videovigilância inicialmente implementado. 4. A CNPD através do seu Parecer 2020/91 de 04 de agosto de 2020 pronunciou-se sobre a proposta inicial recomendando o reforço das medidas de segurança a implementar, melhor referenciadas nos pontos 2.2 e 2.3. desse parecer1. 5. O então Secretário de Estado Adjunto e da Administração Interna por Despacho n.º 8192/2020 (Diário da República, 2.ª série, C, n.º 164, p. 39) aprovou a instalação e funcionamento de um sistema de videovigilância, composto por sessenta e uma (61) câmaras, com o fim de proteção da segurança das pessoas e bens, assim como de prevenção criminal, abrangendo vinte e quatro (24) locais do município de Portimão, sendo cinquenta e uma (51) câmaras instaladas em três zonas envolventes da Praia da Rocha e dez (10) câmaras instaladas nos principais eixos rodoviários de acesso à cidade de Portimão. 6. Nesse Despacho e através das alíneas a) a j) do seu n.º 4, foram impostas dez (10) condições para a implementação desse sistema de videovigilâncias, a saber: a) O sistema de videovigilância deve ser operado de forma a garantir a efetiva salvaguarda da privacidade e segurança, dando integral cumprimento às disposições legais aplicáveis; 1 Acessível em: <https://www.cnpd.pt/umbraco/surface/cnpdDecision/download/121783>.  PAR/2023/44 1v. b) O chefe da Secção de Exploração do Núcleo de Sistemas de Informação e Comunicações, do Comando Distrital de Faro da PSP, é o responsável pela conservação e tratamento dos dados; c) O sistema de videovigilância funcionará ininterruptamente, vinte e quatro horas por dia, em todos os dias da semana; d) Sempre que se verifique uma situação de perigo concreto para a segurança de pessoas e bens é permitida a captação e gravação de som; e) Devem ser garantidos os direitos de acesso e eliminação, em conformidade, com o disposto no n.º 1 do artigo 10.º da Lei n.º 1/2005, de 10 de janeiro, alterada e republicada pela Lei n.º 9/2012, de 23 de fevereiro; f) Deverá ser efetuado o barramento dos locais privados, impedindo a visualização, designadamente, de portas, janelas e varandas; g) Não se permite a utilização de câmaras ocultas; h) Os procedimentos de segurança a adotar pela entidade responsável devem incluir seguranças lógicas de acesso ao sistema; i) Todas as operações deverão ser objeto de registo; j) Os relatórios de registo devem reportar todas as anomalias detetadas e devem ser arquivadas por um período mínimo de dois anos.” 7. O pedido agora formulado pretende “a instalação de câmaras em mais 5 (cinco) locais na zona urbana da Praia da Rocha, na zona onde já funciona o sistema de videovigilância, ficando este com um total de 42 (quarenta e duas) câmaras em 29 (vinte e nove) locais” (§ 5 do Parecer de 10/04/2023 do Comando Distrital de Faro da PSP). 8. O responsável indicado na alínea b) do n.º 4 do referido Despacho n.º 8192/2020 não foi instado para prestar qualquer aconselhamento relativamente à avaliação do impacto quanto a esta ampliação do mencionado sistema de videovigilância. 9. A Unidade de Informática e Inspeção da CNPD emitiu parecer técnico em 27 de junho de 2023 sobre a presente ampliação do sistema de videovigilância na cidade de Portimão. 10. A CNPD emite parecer nos termos do n.º 3 e no prazo fixado pelo n.º 4 do artigo 5.º da Lei n.º 95/2021, em conjugação com a alíneas b) e c) do artigo 87.º do Código do Procedimento Administrativo.  PAR/2023/44 2 II. Apreciação a) Considerações gerais sobre o objeto do parecer a emitir 11. A competência da pronúncia da CNPD tem como objeto a conformidade do presente pedido com a observância das regras referentes à segurança do tratamento dos dados recolhidos e com o previsto nos n.ºs 4 a 6 do artigo 4.º e nos artigos 16.º, 18.º a 20.º e 22.º da Lei n.º 95/2021. 12. O objeto deste parecer incide igualmente sobre o respeito pela proibição de instalação e utilização de câmaras fixas ou portáteis em áreas que, apesar de situadas em locais públicos, sejam, pela sua natureza, destinadas a ser utilizadas em resguardo e ainda a utilização de câmaras de vídeo quando a captação de imagens e de sons abranja o interior de casa ou edifício habitado ou suas dependências, assim como estabelecimentos hoteleiros e similares, e quando essa captação afete, de forma direta e imediata, a esfera da reserva da vida íntima e privada. 13. O objeto deste parecer abrange também a recolha e tratamento subsequente dos dados pessoais, em especial quando realizado através de um sistema de gestão de analítica dos dados captados, por aplicação de critérios técnicos, bem como o respeito pelas condições e limites de conservação das gravações. 14. A CNPD deve ainda verificar se estão assegurados, a todas as pessoas que figurem em gravações obtidas de acordo com a referida lei, os direitos de informação, acesso e eliminação, com as exceções previstas na lei. b) O âmbito e as finalidades da ampliação do sistema de videovigilância 15. A CNPD, nos termos das competências definidas na Lei n.º 95/2021, não tem, em regra, de pronunciar-se sobre a proporcionalidade da utilização de sistemas de videovigilância em locais públicos de utilização comum. 16. No entanto essa competência já existe quando esteja em causa a instalação de câmaras em áreas que sejam, pela sua natureza, destinadas a ser utilizadas em resguardo, ou quando aquelas captem imagens e som do interior de casa ou edifício habitado ou sua dependência, bem como de estabelecimentos hoteleiros e similares, ou quando a captação de imagens ou som afete, de forma direta e imediata, a esfera da reserva da vida íntima e privada (cf. n.ºs 4 a 6 do artigo 4.º da Lei n.º 95/2021). 17. Em causa está o tratamento de dados decorrente do alargamento do sistema de videovigilância na cidade de Portimão, que de acordo com o anexo C) corresponde à instalação de mais cinco (5) câmaras em mais cinco (5) locais para monitorização das zonas melhor identificadas mediante as posições 25, 26, 27, 28, 29. As características técnicas dessas câmaras constam igualmente desse anexo C). i) O sistema instalado e a instalar: algumas imprecisões  PAR/2023/44 2v. 18. A CNPD começa por constatar que existe um desfasamento entre o número de câmaras de videovigilância inicialmente autorizadas no perímetro envolvente da Praia da Rocha (cinquenta e uma (51) câmaras instaladas) e o total do número de câmaras que resultará com o presente pedido de ampliação (“[n]um total de 42 (quarenta e duas) câmaras em 29 (vinte e nove) locais”) – apenas existe coincidência no número de localização dessas câmaras. Nesta conformidade, haverá que precisar o número de câmaras que já estão instaladas e a funcionar. 19. Na fundamentação deste novo pedido foi referido essencialmente o seguinte: “Com o início da operacionalização do sistema, em 01 de novembro de 2022, foi possível verificar que nesta área ficaram algumas zonas cegas que prejudicam a utilidade global do investimento realizado. Os locais em causa são áreas no exterior de estabelecimentos de restauração e bebidas onde se têm registado situações de alteração da ordem pública e em que existe particular interesse em visualizar, em tempo real os acontecimentos nos locais e, deste modo, redirecionar recursos policiais, para garantir a proteção da segurança das pessoas, animais e bens, em locais públicos ou de acesso público, bem como a prevenção da prática de factos qualificados pela lei como crimes” (§ 4) do Parecer de 10/04/2023 do Comando Distrital de Faro da PSP). 20. A CNPD verifica que com a presente ampliação do sistema de videovigilância ocorre igualmente a extensão do âmbito das suas finalidades, porquanto passa a abranger a gestão dos recursos humanos e técnicos policiais (“redirecionar recursos policiais”), que poderia estar implícito no despacho primitivo de autorização, mas não estava expressamente consagrado. 21. A CNPD regista igualmente algumas dissonâncias entre o que já foi aprovado e o que foi agora pedido para ampliar, como sucede com a captação de som, onde se afirma que “não fará a recolha de som” (§ 8 do Parecer de 10/04/2023 do Comando Distrital de Faro da PSP). 22. Assim e muito embora a regra geral seja a não captação de som, o Despacho n.º 8192/2020 permite essa captação e gravação “Sempre que se verifique uma situação de perigo concreto para a segurança de pessoas e bens”. 23. Deste modo, a presente ampliação pretende que haja uma reformulação geral das condições do sistema de videovigilância? Que essa alteração seja apenas dirigida para as novas câmaras a instalar? Que não haja qualquer alteração às condições primitivas? Será de todo conveniente que estas dúvidas venham a ser esclarecidas. 24. A propósito e com intuitos meramente pedagógicos chamamos a atenção de que o conceito de “perigo concreto para a segurança de pessoas e bens” é distinto do conceito de “perigo abstrato para a segurança de pessoas e bens”, tendo ambos em comum a existência de condutas propícias ou potenciadoras de causar danos através da prática de criminosas. No entanto o comportamento perigoso concreto exige a comprovação eminente da lesão de bens jurídicos, mediante um juízo de verificação desse perigo, enquanto o comportamento  PAR/2023/44 3 perigoso abstrato prescinde dessa confirmação, através de um juízo de presunção dessa perigosidade. Deste modo, seria aconselhável densificar o conceito em causa, não só numa perspetiva de proteção de dados, mas também de investigação criminal (v.g. o crime de tráfico de estupefacientes é um crime de perigo abstrato). ii) O barramento de locais privados através da aplicação de máscaras digitais 25. A CNPD verifica igualmente que o pedido de autorização para ampliação do sistema de videovigilância é constituído por câmaras estilo all-in-one, porquanto permitem de uma só vez múltiplas finalidades (vg. deteção do rosto, localização da fonte de som, bloquear outros objetos, etc.), com uma visão de 360º do local onde se encontram instaladas. 26. Porém, não foram fornecidos registos de imagens dessa captação global, de modo a perceber qual o barramento que será aplicado nas novas zonas de instalação de câmaras de videovigilância, o que impede a CNPD de pronunciar-se em conformidade. 27. No entanto, a CNPD relembra que o Despacho n.º 8192/2020 estabelece como condição “o barramento dos locais privados, impedindo a visualização, designadamente de portas, janelas e varandas”. iii) A utilização de inteligência artificial para reconhecimento facial através de padrões 28. As novas câmaras a instalar são dotadas de tecnologia que permitem a utilização da funcionalidade de reconhecimento facial. 29. A CNPD emitiu o Parecer 2020/91 no pressuposto de que não seria utilizado, em virtude de não ser referido na instrução do processo, o recurso a inteligência artificial através da tecnologia de soft recognition. O mencionado Despacho n.º 8192/2020 não fez qualquer menção a essa funcionalidade. O presente pedido também não se refere à utilização dessa funcionalidade. 30. A Lei 95/2021 estabelece no seu artigo 16.º, n.º 2 que para efeitos de recolha e tratamento de dados, através de gestão analítica, mediante a aplicação de critérios técnicos, “não é permitida a captação e tratamento de dados biométricos”, os quais podem ter por base padrões de imagens discriminatórias, como seja a raça. 31. A CNPD recomenda que a futura autorização para ampliação deste sistema de videovigilância tenha em atenção este comando legal na sua implementação, estabelecendo-o como seu requisito. iv) O registo e conservação das operações de tratamento 32. A CNPD no que diz respeito ao registo e conservação das operações de tratamento de dados e com base nos anexos que foram juntos com o anterior pedido e presente ampliação, continua a ter as seguintes dúvidas: i) Segurança na transmissão de dados: O MPEG-4 tem como único objetivo a compressão de áudio e de dados  PAR/2023/44 3v. visuais, não permitindo a cifra desses mesmos dados. Deste modo não se vislumbra como possa ser um mecanismo de segurança de tratamento de dados; ii) auditabilidade das operações: a mesma incide no sistema operativo do posto de trabalho do operador ou nas operações que o sistema de videovigilância deve registar? O termo “todas as operações” é intensamente vago, de modo que não permite avaliar o que está em causa e muito menos estabelecer a correspondente auditoria; iii) o período de retenção dos dados: mantém-se indefinido o lapso de tempo de armazenamento da informação recolhida pelo sistema de videovigilância, assim como o critério a utilizar para a sua eliminação. v) As garantias para a segurança do tratamento e a subcontratação 33. A PSP apresentou um comprovativo de compromisso de financiamento da instalação e respetiva manutenção do sistema de videovigilância assumido pela Câmara Municipal de Portimão. 34. Por sua vez, a Presidente da Câmara Municipal de Portimão, em representação do respetivo município, celebrou com a sociedade SOLTRÁFEGO – Soluções Trânsito, Estacionamento e Comunicações, S. A., um contrato (n.º 076/2022) de “Fornecimento e Instalação de um sistema de Videovigilância a Instalar nas Vias Públicas da Praia da Rocha e Principais Acessos Rodoviários ao Município de Portimão”, conforme foi divulgado2. 35. Nesse contrato não se encontra clausulada a obrigação de manutenção do referido sistema de videovigilância, desconhecendo-se quem tem esse encargo. 36. A CNPD chama a atenção de que a instalação e manutenção de um sistema de videovigilância está diretamente relacionada com a segurança da informação e a aptidão do sistema para cumprir as finalidades visadas. 37. Por sua vez, a PSP é a entidade responsável pelo tratamento dos dados pessoais provenientes do sistema de videovigilância implementado e a implementar na cidade de Portimão, porquanto, de acordo com o artigo 17.º, n.º 1 da Lei n.º 95/2021, tal dever recai sobre a “força ou serviço de segurança requerente [...] com jurisdição na área de captação” independentemente de quem seja o proprietário das câmaras de vídeo e demais equipamentos que componham o sistema. 38. Essa responsabilidade é extensiva aos contratos que o responsável venha a celebrar com terceiros, como resulta do artigo 17.º, n.º 2 da Lei n.º 95/2021, estando a sua regulamentação disciplinada pela Lei n.º 59/2019, de 8 de agosto, que veio aprovar as regras relativas ao tratamento de dados pessoais para efeitos de prevenção, 2 Disponível em https://www.base.gov.pt/Base4/pt/resultados/?type=doc documentos&id=1856614&ext=.pdf  PAR/2023/44 4 deteção, investigação ou repressão de infrações penais ou de execução de sanções penais, onde salientamos o seu artigo 23.º. 39. Deste modo, a CNPD não afasta a hipótese de a PSP subcontratar com o Município de Portimão a manutenção do sistema de videovigilância, através de implementação de medidas técnicas e organizativas adequadas (artigo 23.º, n.º 1 da Lei n.º 59/2019). E também não rejeita que o Município de Portimão pode subsubcontratar a realização desses mesmos objetivos com qualquer outra empresa, mas mediante a autorização prévia, específica ou geral da PSP (artigo 23.º, n.º 2 da Lei n.º 59/2019). 40. No entanto, qualquer subcontratação com vista a assegurar a manutenção ou substituição dos equipamentos tem de ser contratualmente formalizada (artigo 23.º, n.º 4 da Lei n.º 59/2019). 41. A CNPD não pode deixar de sublinhar é que não pode haver uma inversão de papéis, ficando a PSP sem o domínio ou controlo do tratamento de dados pessoais decorrente do presente sistema de videovigilância, designadamente quanto às suas responsabilidades na manutenção desse sistema, seja no que concerne ao que está implementado, seja no que vier a ser implementado. 42. Nesta conformidade, importa que seja celebrado um contrato ou acordo que regule especificamente essa relação de subcontratação, vinculando o Município de Portimão, assim como a empresa que foi ou vier a ser contratualizada para assegurar a manutenção do sistema de videovigilância no Município de Portimão – o que, neste caso concreto, não parece ter ocorrido até ao momento. vi) Outras questões a ponderar 43. A CNPD chama a atenção de que não existe qualquer procedimento previsto para a conservação de imagens por um período superior a 30 dias, quando estas se reportarem ao visionamento de factos com relevância criminal. 44. A CNPD relembra que se mantém obrigatória a sinalização da utilização do sistema de videovigilância (artigo 22.º da Lei n.º 59/2019), designadamente a sua existência e sinalização (a), a finalidade de captação de imagens e sons (b), a identificação do responsável pelo tratamento dos dados recolhidos (c). 45. A propósito será de recordar que a PSP é a autoridade pública e a entidade responsável pelo tratamento dos dados pessoais provenientes do sistema de videovigilância implementado e a implementar na Município de Portimão, enquanto o responsável indicado no Despacho n.º 8192/2020 desempenha funções semelhantes ao encarregado de proteção de dados, designadamente como ponto de contacto. 46. Mais será de referir a exigência legal da publicidade dos sistemas de videovigilância autorizados (artigo 23.º da Lei n.º 59/2019), através da correspondente plataforma eletrónica, onde conste a data e o local da instalação,  PAR/2023/44 4v. o seu requerente e finalidades, abrangendo as correspondentes alterações e ampliações (n.º 1), assim como a disponibilização no portal ePortugal a correspondente informação, com a respetiva hiperligação para a mencionada plataforma eletrónica (n.º 2) III. Conclusões 47. A CNPD, ao abrigo da competência conferida pela Lei n.º 95/2021 e nos termos e fundamentos expostos, relembrando que não lhe compete pronunciar-se sobre os concretos fundamentos do alargamento substancial do sistema de videovigilância no Município de Portimão, recomenda o seguinte: a. a clarificação do número de câmaras já instaladas no perímetro da Praia da Rocha, bem como do número total de câmaras que passará a integrar o sistema de videovigilância nessa área da cidade de Portimão e na globalidade do seu Município, em face da incongruência detetada entre o pedido e a documentação que o acompanha; b. a delimitação das finalidades de proteção das pessoas, animais e bens e de prevenção e repressão criminais, pelos diferentes conjuntos de câmaras de videovigilância, em função dos riscos por área ou zona, de modo a permitir a avaliação da proporcionalidade do sistema de videovigilância, assim como da proporcionalidade do pretendido sistema de gestão analítica das imagens; c. a utilização, para garantia da privacidade, de máscaras de ofuscação a aplicar a todas as janelas e portas dos edifícios destinados a habitação e a atividades hoteleiras ou similares, as quais devem estar devidamente configuradas; d. a adoção de medidas capazes de garantir a segurança do sistema e a auditabilidade do tratamento de dados pessoais; e. a imprescindibilidade de ficar expressa e claramente delimitada em contrato ou acordo a intervenção do Município de Portimão como subcontratante, bem como de eventuais sub-subcontratantes, mormente no que concerne à manutenção do sistema de videovigilância. 48. A CNPD recomenda especialmente a não autorização da utilização do sistema de gestão de analítica de dados, em face da ostensiva ausência (no pedido e nos elementos que o instruem, máxime na falta de avaliação de impacto sobre a proteção de dados) de definição dos respetivos critérios subjacentes, pela impossibilidade de verificação do respeito pelas condições e limites legais e constitucionais à sua utilização, bem como de avaliação da proporcionalidade dessa utilização.  PAR/2023/44 5 Aprovado na reunião de 25 de julho de 2023 Assinado por: PAULA CRISTINA MEIRA LOURENÇO Data: 2023.07.25 18:27:17+01'00' Certificado por: Diário da República Eletrónico Atributos certificados: Presidente - Comissão Nacional de Proteção de Dados Paula Meira Lourenço (Presidente)